情報セキュリティマネジメント試験 情報資産のリスク評価・対応計画 練習問題 第4問: 販売部門は、二つの情報資産A・Bについて追加対策の優先順位を決めようとしている。社内方式は、事故が業務へ与える影響の評価値と、被害発生可能性の評価値を掛けてリス
この科目 –/11 解いた
販売部門は、二つの情報資産A・Bについて追加対策の優先順位を決めようとしている。社内方式は、事故が業務へ与える影響の評価値と、被害発生可能性の評価値を掛けてリスク値を求め、高い方から対応を検討するものである。 今回の調査では、被害発生可能性だけが評価済みで、Aは3、Bは2だった。どちらも数値が大きいほど発生可能性が高い。一方、業務への影響はまだ評価しておらず、両者が同じとも確認していない。担当者は「3は2より大きいので、追加調査をせずAを優先と確定できる」と報告した。 この報告への対応として、最も適切なものはどれか。
解答と解説を先に見る
正解: 4. 各資産の業務への影響も確認し、社内方式でリスク値を求めてから優先順位を検討する。
この会社の方式には、業務への影響と被害発生可能性の両方が必要です。今回は影響の値が未評価で、同じだとも確認できていません。発生可能性の3と2だけでは、会社の方式によるリスクの大小は確定できません。 たとえば、仮に影響がAで1、Bで3なら、リスク値はAが1×3＝3、Bが3×2＝6となり、発生可能性だけを見た順序とは逆になります。この仮定は実際の評価結果ではありません。不足する影響を確認せず、どちらを優先するか推測で決めないことが要点です。
関連キーワード: リスク評価・業務への影響・発生可能性
広告